本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。 # 将 Audit Manager 证据整合到您的 GRC 系统中 作为企业客户，您的资源可能分布于多个数据中心，包括其他云供应商和本地环境。要从这些环境中收集证据，您可以使用第三方 GRC（治理、风险和合规性）解决方案，例如 C MetricStream yberGRC 或 RSA Archer。或者，您可以使用自己内部开发的专有 GRC 系统。 本教程向您展示了如何将内外部 GRC 系统与 Audit Manager 集成。这种集成使供应商能够收集有关其客户 AWS 使用和配置的证据，并将这些证据直接从 Audit Manager 发送到 GRC 应用程序。如此一来，您就可以将多个环境中的合规性报告集中到一起。 在本教程中： 1. **供应商**是指 GRC 应用程序与 Audit Manager 集成的实体或公司。 1. **客户**是指使用以及同时使用 AWS内部或外部 GRC 应用程序的实体或公司。 **注意** 在某些情况下，GRC 应用程序由同一家公司拥有和使用。在本例中，**供应商**是指拥有 GRC 应用程序的群组或团队，而**客户**是指使用 GRC 应用程序的团队或群组。 **本教程介绍如何执行以下操作：** + [第 1 步：启用 Audit Manager](#tutorial-for-grc-integration-step1) + [步骤 2：设置权限](#tutorial-for-grc-integration-step2) + [步骤 3：将您的企业控件映射至 Audit Manager 控件](#tutorial-for-grc-integration-step3) + [步骤 4：随时更新控件映射](#tutorial-for-grc-integration-step4) + [第 5 步：创建评测](#tutorial-for-grc-integration-step5) + [步骤 6. 开始收集证据](#tutorial-for-grc-integration-step6) ## 先决条件 **在开始之前，请务必满足下列条件：** + 您在 AWS中运行基础设施。 + 您使用内部 GRC 系统，或者使用供应商提供的第三方 GRC 软件。 + 您已完成[设置 Audit Manager](https://docs.aws.amazon.com/audit-manager/latest/userguide/setting-up.html) 所需的所有[先决条件](https://docs.aws.amazon.com/audit-manager/latest/userguide/setup-prerequisites.html)。 + 您熟悉 [理解 AWS Audit Manager 概念和术语](concepts.md)。 **需要注意的一些限制：** + Audit Manager 是区域性的 AWS 服务。您必须在运行 AWS 工作负载的每个区域单独设置 Audit Manager。 + Audit Manager 不支持将来自多个区域的证据聚合到一个区域中。如果您的资源跨越多个 AWS 区域，则必须在 GRC 系统中汇总证据。 + Audit Manager 为您可以创建的资源数量设置了默认限额。如有需要，您可以请求增加这些默认限额。有关更多信息，请参阅 [AWS Audit Manager的限额和限制](https://docs.aws.amazon.com/audit-manager/latest/userguide/service-quotas.html)。 ## 第 1 步：启用 Audit Manager ### 谁完成此步骤 Customer ### 您需要了解的内容 首先为您的 AWS 账户启用 Audit Manager。如果您的账户属于组织，则可以使用您的管理账户启用 Audit Manager，然后为 Audit Manager 指定委派管理员。 ### 过程 **启用 Audit Manager** 按照说明[启用 Audit Manager](https://docs.aws.amazon.com/audit-manager/latest/userguide/setup-audit-manager.html)。对要收集证据的所有区域重复设置程序。 **提示** 如果您使用 AWS Organizations，我们强烈建议您在此步骤中设置委托管理员。如果您使用 Audit Manager 中的委派管理员账户，则可以使用证据查找器在组织中的所有成员账户中搜索证据。 ## 步骤 2：设置权限 ### 谁完成此步骤 Customer ### 您需要了解的内容 在此步骤中，客户为其账户创建一个 IAM 角色。然后，客户向供应商授予代入该角色的权限。 ![\[显示 IAM 角色如何为供应商账户授予访问权限的示意图。\]](http://docs.aws.amazon.com/zh_cn/audit-manager/latest/userguide/images/vendor-role-access.png) ### 过程 **为客户账户创建角色** 按照《IAM 用户指南**》中[为 IAM 用户创建角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-user.html)的说明进行操作。 + 在角色创建工作流的第 8 步中，选择**创建策略**并为角色输入策略。 角色必须至少具有以下权限： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement" : [ { "Sid" : "AuditManagerAccess", "Effect" : "Allow", "Action" : [ "auditmanager:*" ], "Resource" : "*" }, { "Sid" : "OrganizationsAccess", "Effect" : "Allow", "Action" : [ "organizations:ListAccountsForParent", "organizations:ListAccounts", "organizations:DescribeOrganization", "organizations:DescribeOrganizationalUnit", "organizations:DescribeAccount", "organizations:ListParents", "organizations:ListChildren" ], "Resource" : "*" }, { "Sid" : "IAMAccess", "Effect" : "Allow", "Action" : [ "iam:GetUser", "iam:ListUsers", "iam:ListRoles" ], "Resource" : "*" }, { "Sid" : "S3Access", "Effect" : "Allow", "Action" : [ "s3:ListAllMyBuckets" ], "Resource" : "*" }, { "Sid" : "KmsAccess", "Effect" : "Allow", "Action" : [ "kms:DescribeKey", "kms:ListKeys", "kms:ListAliases" ], "Resource" : "*" }, { "Sid" : "KmsCreateGrantAccess", "Effect" : "Allow", "Action" : [ "kms:CreateGrant" ], "Resource" : "*", "Condition" : { "Bool" : { "kms:GrantIsForAWSResource" : "true" }, "StringLike" : { "kms:ViaService" : "auditmanager.*.amazonaws.com" } } }, { "Sid" : "SNSAccess", "Effect" : "Allow", "Action" : [ "sns:ListTopics" ], "Resource" : "*" }, { "Sid" : "TagAccess", "Effect" : "Allow", "Action" : [ "tag:GetResources" ], "Resource" : "*" } ] } ``` ------ + 在角色创建工作流的第 11 步中，输入 `vendor-auditmanager` 作为**角色名称**。 **允许供应商账户代入该角色** 按照《IAM 用户指南》**中[向用户授予切换角色的权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_permissions-to-switch.html)中的说明进行操作。 + 策略声明必须包括对 `sts:AssumeRole action` 的 `Allow` 影响。 + 还必须包括资源元素中该角色的 Amazon 资源名称（ARN）。 + 以下是您可以使用的示例策略语句。 在本政策中，将*placeholder text*替换为供应商的 AWS 账户 ID。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": { "Effect": "Allow", "Action": "sts:AssumeRole", "Resource": "arn:aws:iam::111122223333:role/vendor-auditmanager" } } ``` ------ ## 步骤 3：将您的企业控件映射至 Audit Manager 控件 ### 谁完成此步骤 Customer ### 您需要了解的内容 供应商会维护一份精选的企业控件清单，供客户在评测中使用。要与 Audit Manager 集成，供应商必须创建一个接口，使客户能够将其企业控件映射至相应的 Audit Manager 控件。您可以映射至[](concepts.md#common-control)（首选），也可以映射至[](concepts.md#standard-control)。在供应商的 GRC 应用程序中开始任何评测之前，您必须完成此映射。 ![\[显示企业控件如何映射至 Audit Manager 控件的示意图。\]](http://docs.aws.amazon.com/zh_cn/audit-manager/latest/userguide/images/control-mapping.png) ### 选项 1：将企业控件映射至通用控件（推荐） 推荐采用这种方法将企业控件映射至 Audit Manager。这是因为通用控件与通用行业标准非常一致。这样，您可以更轻松地将它们映射到您的企业控件。 通过这种方法，供应商可以创建一个接口，使客户能够一次性完成其企业控件和 Audit Manager 提供的相应通用控件之间的映射。供应商可以使用[ListControls[ListCommonControls](https://docs.aws.amazon.com/controlcatalog/latest/APIReference/API_ListCommonControls.html)](https://docs.aws.amazon.com/audit-manager/latest/APIReference/API_ListControls.html)、和 [GetControl](https://docs.aws.amazon.com/audit-manager/latest/APIReference/API_GetControl.html)API 操作向客户显示这些信息。客户完成映射练习后，供应商就可以使用这些映射在 Audit Manager 中[创建自定义控件](https://docs.aws.amazon.com/audit-manager/latest/userguide/create-controls.html)。 下面是通用控件映射的示例： 假设您有一个名为 `Asset Management` 的企业控件。该企业控件映射至 Audit Manager 中的两个通用控件（`Asset performance management` 和 `Asset maintenance scheduling`）。在本例中，您必须在 Audit Manager 中创建自定义控件（我们将其命名为 `enterprise-asset-management`）。然后，将 `Asset performance management` 和 `Asset maintenance scheduling` 作为证据来源添加到新的自定义控件中。这些证据来源从一组预定义 AWS 的数据源中收集支持证据。这为您提供了一种有效的方法来识别与您的企业控制要求对应 AWS 的数据源。 #### 过程 **查找您可以映射到的可用通用控件** 按照以下步骤在 Audit Manager 中[查找可用的通用控件列表](https://docs.aws.amazon.com/audit-manager/latest/userguide/access-available-controls.html)。 **创建自定义控件** 1. 按照以下步骤根据您的企业控件[创建自定义控件](https://docs.aws.amazon.com/audit-manager/latest/userguide/create-controls.html)。 在自定义控件创建工作流的第 2 步中指定证据来源时，请执行以下操作： + 选择 **AWS 托管式来源**作为证据来源。 + 选择**使用符合您合规性目标的通用控件**。 + 最多选择五种通用控件作为企业控件的证据来源。 1. 对所有企业控件重复此任务，然后在 Audit Manager 中为每个控件创建相应的自定义控件。 ### 选项 2：将企业控件映射至标准控件 Audit Manager 提供了大量预先构建的标准控件。您可以在企业控件和这些标准控件之间完成一次性映射。确定与企业控件相对应的标准控件后，可以将这些标准控件直接添加到自定义框架中。如果您选择此选项，则无需在 Audit Manager 中创建任何自定义控件。 #### 过程 **查找可以映射到的可用标准控件** 按照以下步骤在 Audit Manager 中[查找可用的标准控件列表](https://docs.aws.amazon.com/audit-manager/latest/userguide/access-available-controls.html)。 **创建自定义框架** 1. 按照以下步骤在 Audit Manager 中[创建自定义框架](https://docs.aws.amazon.com/audit-manager/latest/userguide/create-custom-frameworks-from-scratch.html)。 在框架创建过程的第 2 步中指定控件集时，请包括映射至您企业控件的标准控件。 1. 对所有企业控件重复此任务，直到自定义框架中包含所有相应的标准控件。 ## 步骤 4：随时更新控件映射 ### 谁完成此步骤 供应商、客户 ### 您需要了解的内容 Audit Manager 会不断更新常用控件和标准控制措施，以确保它们使用最新的可用 AWS 数据源。这就表示映射控件是一项一次性的任务：将标准控件添加到自定义框架后，您无需对其进行管理；将通用控件作为证据来源添加到自定义控件中后，您也无需对其进行管理。每当更新通用控件时，都会自动将相同的更新应用于使用该通用控件作为证据来源的所有自定义控件。 但是，今后可能会出现新的通用控件和标准控件供您用作证据来源。考虑到这一点，供应商和客户应当创建一个工作流，定期从 Audit Manager 获取最新的通用控件和标准控件。然后，您可以查看企业控件和 Audit Manager 控件之间的映射，并根据需要更新映射。 ### 如果您的企业控件映射到通用控件 在映射过程中，您创建了自定义控件。您就可以使用 Audit Manager 编辑这些自定义控件，以便它们使用最新可用的通用控件作为证据来源。自定义控件更新生效后，您现有的评测将针对更新的自定义控件自动收集证据。您无需创建新的框架或评测。 #### 过程 **查找您可以映射到的最新通用控件** 按照以下步骤在 Audit Manager 中[查找可用的通用控件](https://docs.aws.amazon.com/audit-manager/latest/userguide/access-available-controls.html)。 **编辑自定义控件** 1. 按照以下步骤在 Audit Manager 中[编辑自定义控件](https://docs.aws.amazon.com/audit-manager/latest/userguide/edit-controls.html)。 在编辑工作流的第 2 步中更新证据来源时，请执行以下操作： + 选择 **AWS 托管式来源**作为证据来源。 + 选择**使用符合您合规性目标的通用控件**。 + 为您的自定义控件选择要用作证据来源的新通用控件。 1. 对要更新的所有企业控件重复此任务。 ### 如果您的企业控件映射到标准控件 在这种情况下，供应商必须创建一个包含最新可用标准控件的新自定义框架，然后使用此新框架创建新的评测。创建新评测后，您可以将旧评测标记为非活动状态。 #### 过程 **查找可以映射到的最新标准控件** 按照以下步骤在 Audit Manager 中[查找可用的标准控件](https://docs.aws.amazon.com/audit-manager/latest/userguide/access-available-controls.html)。 **创建自定义框架并添加最新的标准控件** 按照以下步骤在 Audit Manager 中[创建自定义框架](https://docs.aws.amazon.com/audit-manager/latest/userguide/create-custom-frameworks-from-scratch.html)。 在框架创建工作流的第 2 步中指定控件集时，请包括新的标准控件。 **创建评测** 在 GRC 应用程序中创建评测。 **将评测状态更改为非活动** 按照以下步骤在 Audit Manager 中[更改评测的状态](https://docs.aws.amazon.com/audit-manager/latest/userguide/change-assessment-status-to-inactive.html)。 ## 第 5 步：创建评测 **谁完成此步骤** GRC 应用程序，并附上供应商提供的信息 **您需要了解的内容** 作为客户，您无需直接在 Audit Manager 中创建评测。当您开始对 GRC 应用程序中的某些控件进行评测时，GRC 应用程序会在 Audit Manager 中为您创建相应的资源。首先，GRC 应用程序使用您创建的映射来识别相关的 Audit Manager 控件。接下来，它会使用控件信息为您创建自定义框架。最后，它会在 Audit Manager 中使用新创建的自定义框架创建评测。 在 Audit Manager 中创建评测还需要一个[范围](https://docs.aws.amazon.com/audit-manager/latest/userguide/create-assessments.html#specify-accounts)。此范围列出了客户想要在 AWS 账户 哪里进行评估和收集证据。客户必须直接在 GRC 应用程序中定义此范围。 作为供应商，您需要存储映射到 GRC 应用程序中启动的评测的 `assessmentId`。必须有此 `assessmentId` 才能从 Audit Manager 获取证据。 **查找评测 ID** 1. 使用该[ListAssessments](https://docs.aws.amazon.com/audit-manager/latest/APIReference/API_ListAssessments.html)操作在 Audit Manager 中查看您的评估。您可以使用 [status](https://docs.aws.amazon.com/audit-manager/latest/APIReference/API_ListAssessments.html#auditmanager-ListAssessments-request-status) 参数查看处于活动状态的评测。 ``` aws auditmanager list-assessments --status ACTIVE ``` 1. 在响应中，确定要存储在 GRC 应用程序中的评测，并记下 `assessmentId`。 ## 步骤 6. 开始收集证据 **谁完成此步骤** AWS Audit Manager，并附上供应商提供的信息 **您需要了解的内容** 创建评测后，最多需要 24 小时才能开始收集证据。此时，您的企业控件正在积极为您的 Audit Manager 评测收集证据。 我们建议您使用[证据查找器](https://docs.aws.amazon.com/audit-manager/latest/userguide/evidence-finder.html)特征在 Audit Manager 中快速查询和查找证据。如果您以委派管理员的身份使用证据查找器，则可以在组织中的所有成员账户中搜索证据。使用筛选条件和分组的组合，可以逐步缩小搜索查询的范围。例如，如果您想从高层次查看系统运行状况，请进行广泛搜索并按评测、日期范围以及资源合规性进行筛选。如果您的目标是修复特定资源，则可以执行狭窄搜索，以瞄准特定控件或资源 ID 的证据。定义筛选条件后，您可分组并预览匹配的搜索结果，然后再创建评测报告。 **启用证据查找器** + 按照以下说明在 Audit Manager 设置中[启用证据查找器](https://docs.aws.amazon.com/audit-manager/latest/userguide/evidence-finder-settings-enable.html)。 启用证据查找器后，您可以决定从 Audit Manager 为评测获取证据的节奏。您还可以为评测中的特定控件获取证据，并将证据存储在映射到企业控件的 GRC 应用程序中。您可以通过以下 Audit Manager API 操作来获取证据： + [GetEvidence](https://docs.aws.amazon.com/audit-manager/latest/APIReference/API_GetEvidence.html) + [GetEvidenceByEvidenceFolder](https://docs.aws.amazon.com/audit-manager/latest/APIReference/API_GetEvidenceByEvidenceFolder.html) + [GetEvidenceFolder](https://docs.aws.amazon.com/audit-manager/latest/APIReference/API_GetEvidenceFolder.html) + [GetEvidenceFoldersByAssessment](https://docs.aws.amazon.com/audit-manager/latest/APIReference/API_GetEvidenceFoldersByAssessment.html) + [GetEvidenceFoldersByAssessmentControl](https://docs.aws.amazon.com/audit-manager/latest/APIReference/API_GetEvidenceFoldersByAssessmentControl.html) ## 定价 无论您是供应商还是客户，此集成设置都不会产生任何额外费用。客户需要为在 Audit Manager 中收集的证据付费。有关定价的更多信息，请参阅 [AWS Audit Manager 定价](https://aws.amazon.com/audit-manager/pricing/)。 ## 其他 资源 您可以通过查看以下资源来详细了解本教程中介绍的概念： + [评测](https://docs.aws.amazon.com/audit-manager/latest/userguide/assessments.html) - 了解管理评测的概念和任务。 + [控件库](https://docs.aws.amazon.com/audit-manager/latest/userguide/control-library.html) - 了解管理自定义控件的概念和任务。 + [框架库](https://docs.aws.amazon.com/audit-manager/latest/userguide/framework-library.html) - 了解管理自定义框架的概念和任务。 + [证据查找器](https://docs.aws.amazon.com/audit-manager/latest/userguide/evidence-finder.html) - 了解如何导出 CSV 文件或根据查询结果生成评测报告。 + [下载中心](https://docs.aws.amazon.com/audit-manager/latest/userguide/download-center.html) - 了解如何下载评测报告以及从 Audit Manager 中导出 CSV 文件。